CVE-2026-21589

Nome do Software Vulnerável e Versões Afetadas Bitbucket Data Center versões 4.6.0 até 9.4.25, 10.2.7 e 10.5.0 Confluence Data Center versões 5.10.0 até 9.2.25 e 10.2.18 Crowd Data Center versões 2.11.0 até 6.3.6, 7.0.2, 7.1.6 e 7.2.3 Jira Software Data Center versões 7.1.0 até 9.12.39, 10.3.25 e 11.3.11 Jira Service Management Data Center versões 3.1.0 até 5.12.39, 10.3.25 e 11.3.11 Bamboo Data Center versões 7.0.1 até 10.2.23 e 12.1.11 Crucible versões anteriores a 4.9.15 Fisheye versões anteriores a 4.9.15

Descrição Uma falha de acesso arbitrário a arquivos existe em vários produtos Atlassian Data Center devido ao manuseio inadequado de caminhos na biblioteca compartilhada atlassian-plugins-webresource. Um invasor remoto não autenticado pode ler arquivos específicos dentro do diretório raiz da aplicação web usando um payload de path traversal com o delimitador :: em vez da sequência padrão ../. Isso ignora a normalização de URI do Tomcat porque a aplicação realiza uma segunda rodada de decodificação de URL e, subsequentemente, converte :: em barras normais através da função unescapeSlashes(). A exploração requer conhecimento prévio do nome e caminho exatos do arquivo alvo, pois a enumeração de diretórios não é possível. Em ambientes integrados ao Atlassian Crowd, isso pode levar ao controle administrativo total se o invasor ler WEB-INF/classes/crowd.properties para obter credenciais em texto simples, que podem então ser usadas via API REST do Crowd para criar administradores fraudulentos. Estima-se que aproximadamente 700.000 instâncias do Confluence estejam expostas. Tentativas de exploração no mundo real foram observadas, incluindo centenas de requisições direcionadas aos endpoints /download/resources/ e /s/1.0/ /download/resources/.

Recomendações Atualize o Bitbucket Data Center para a versão 9.4.26, 10.2.8 ou 10.5.1. Atualize o Confluence Data Center para a versão 9.2.26 ou 10.2.19. Atualize o Crowd Data Center para a versão 6.3.7, 7.0.3, 7.1.7 ou 7.2.4. Atualize o Jira Software Data Center para a versão 9.12.40, 10.3.26 ou 11.3.12. Atualize o Jira Service Management Data Center para a versão 5.12.40, 10.3.26 ou 11.3.12. Atualize o Bamboo Data Center para a versão 10.2.24 ou 12.1.12. Atualize o Crucible para a versão 4.9.15. Atualize o Fisheye para a versão 4.9.15. Como mitigação temporária, restrinja o acesso à rede externa para as instâncias afetadas. Implemente uma regra de Web Application Firewall (WAF) para bloquear requisições que contenham .. imediatamente adjacente a /, `` ou ::. Para o Confluence, habilite o RewriteValve do Tomcat e configure o rewrite.config para bloquear padrões de traversal maliciosos. Se a integração com o Crowd for utilizada, rotacione a application.password em crowd.properties e audite os logs do Crowd em busca de criações de usuários ou alterações de grupo não autorizadas.